ITサポート現場で、よくある会話です。

• 「これって個人情報ですか？」
• 「メールアドレスは個人情報ですか？」
• 「社内番号も対象ですか？」

曖昧なまま対応すると、

"何が個人情報か"を説明できることが
ITサポートの基本力です。

まず結論です。

✅ 明確に個人情報

💡 ここが重要です

• 🔢 社員番号：単体では曖昧だが、社内データベースと照合すれば氏名・部署が判明
• 📧 メールアドレス：組織内のディレクトリと照合すれば個人を特定可能
• 🆔 顧客ID・契約番号：管理システムと照合すれば契約者情報に到達

基本方針

• ✅ 個人を特定できるかが基準
• ✅ 組み合わせでも対象
• ✅ 画像・IDも含まれる
• ✅ 個人情報＝法律対象
• ✅ 最小限アクセスが基本

📊 今日のゴール

• ✅ 個人情報の法的定義を理解する
• ✅ 何が個人情報かを判定できるようになる
• ✅ 組み合わせによる識別可能性を学ぶ
• ✅ 個人情報と機密情報の違いを理解する
• ✅ ITサポートとしての適切な対応姿勢を学ぶ

📝 DAY46まとめ

• 個人情報の定義："特定の個人を識別できる情報"。キーワードは「特定できるかどうか」
• 法的定義：個人情報保護法第2条第1項。①当該情報に含まれる氏名・生年月日等により特定の個人を識別できるもの（他情報と容易照合可含む）、②個人識別符号が含まれるもの
• 個人識別符号：2017年改正で追加。①身体的特徴をデジタルデータ化（指紋・顔・虹彩・声紋・DNA・歩行態様等）、②サービス利用・書類で個人に割り当てられる符号（旅券番号・基礎年金番号・免許証番号・マイナンバー・各種保険証番号等）。単体で個人情報
• 要配慮個人情報：人種・信条・社会的身分・病歴・犯罪経歴・犯罪被害事実等。不当な差別・偏見が生じないよう特に配慮を要する。原則として本人の明示的同意なく取得・第三者提供不可
• 明確な個人情報：氏名（単体で特定可）、住所（居住地で特定）、電話番号（契約者情報と紐づき特定）、生年月日（他情報と組み合わせで特定）→単体でも特定可能
• 組み合わせで特定：社員番号（社内DBと照合）、メールアドレス（ディレクトリと照合）、顧客ID・契約番号（管理システムと照合）。単体では曖昧でも社内データと照合すれば特定可能
• IDも個人情報：ログインID（システム内ユーザー情報と紐づき特定）、SNSアカウント（投稿・友人関係から特定可能な場合）、クラウド利用ID（契約情報・アクセスログと照合で特定）→他情報と結びつくと個人情報
• 画像・音声も個人情報：顔写真（顔認識データは個人識別符号、単体で個人情報）、音声データ（声紋データは個人識別符号、録音内容からも特定可）、防犯カメラ映像（個人が映っていれば顔認識で特定）→個人を識別できれば対象
• 顔認識データ：カメラ撮影画像から顔特徴点抽出データ化は個人識別符号。防犯カメラ映像、従業員顔写真、イベント集合写真、SNS写真は全て個人情報。顔にモザイク処理しても他情報（背景・服装・一緒に写っている人等）から特定できる場合は個人情報のまま
• IPアドレス：欧州GDPRでは個人情報と明示。日本では「プロバイダと照合すれば契約者特定可」のため容易照合性により個人情報と解釈されるケース増加。個人情報保護委員会Q&Aでも動的IPアドレスでもログイン情報等と組み合わせれば個人情報になり得る
• 個人情報vs機密情報：個人情報=個人を特定できる情報（根拠：個人情報保護法）、機密情報=外に出してはいけない情報（根拠：就業規則・秘密保持契約）。重なることもあるが別概念。例：顧客リスト（氏名・連絡先）は両方に該当
• なぜ重要①被害直接的：なりすまし（本人になりすまして契約・借入）、詐欺（個人情報使った詐欺、平均被害額84万円）、不正契約（クレカ不正利用・ローン詐欺）
• なぜ重要②法的責任：企業の管理義務（個人情報保護法により安全管理措置義務）、社会的信用失墜（漏洩事故で顧客離れ、解約率+30-50%）、損害賠償（1件平均29,768円、JNSA）
• 漏洩統計：JNSA 2024年調査。①報告件数178件（+8.5%）、②漏洩人数約1,850万人（1件平均10.4万人）、③想定損害賠償総額約550億円、④1件平均損害額約3.1億円、⑤1人平均損害額29,768円。過去最大規模漏洩が複数発生し被害拡大傾向
• 漏洩原因内訳：①誤操作・誤送信41.3%（メール宛先間違い・添付ファイルミス）、②紛失・置き忘れ18.5%（USBメモリ・書類・PC）、③不正アクセス16.8%（外部侵入）、④内部不正10.2%（従業員持ち出し）、⑤設定ミス8.9%（アクセス権限・公開範囲）、⑥その他4.3%。約70%がヒューマンエラー起因
• 企業への影響：①顧客離れ：漏洩発覚後解約率+30-50%、②株価下落：発表翌日平均-8.3%（上場企業）、③対応コスト：調査・通知・監視で平均1.2億円、④ブランド毀損：回復まで平均3.7年、⑤法的措置：個人情報保護委員会から勧告・命令、最悪刑事罰（1年以下懲役または50万円以下罰金）
• 典型事故①宛先間違い：個人情報漏洩の41.3%（JNSA）。BccにすべきところをToやCcに入れて送信。受信者全員のメールアドレス漏洩。原因：操作ミス（アドレス帳誤選択）、確認不足、疲労・焦り
• 典型事故②添付ファイル誤送信：28.7%（JNSA）。別顧客の契約書、他社員の人事情報を誤って添付。原因：ファイル名類似、デスクトップ整理不足、確認せず送信
• 典型事故③アクセス権限ミス：16.2%（JNSA）。退職者アカウント削除漏れ、不要な権限付与継続、全社員がアクセス可能な設定ミス。原因：権限設定理解不足、定期見直し不足、退職時フロー未整備
• 判断基準："その情報だけで特定できるか？"。STEP1：単体で特定できるか（氏名・住所・電話番号・顔写真・指紋データ）→YES=個人情報。STEP2：他情報と組み合わせで特定できるか（社員番号+社内DB、メールアドレス+ディレクトリ）→YES=個人情報。STEP3：容易に照合できるか（「容易に」=通常業務で参照可、ワンクリックでアクセス可）→YES=個人情報、NO=個人情報ではない
• 判断ポイント：①単体で個人識別できればYES、②社内で通常参照できる他情報と組み合わせで識別できればYES、③特殊な技術や権限必要な照合はNO（容易性なし）、④迷ったら個人情報として扱う（安全側に倒す）
• ITサポート基本方針：①必要最小限アクセス（業務に必要な範囲のみ、「見られる」≠「見ていい」）、②ログ確認（誰が・いつ・何にアクセスしたか記録、監査証跡を残す）、③外部送信慎重（メール送信前確認、暗号化、パスワード設定）